ГлавнаяБаза уязвимостей БДУ → BDU:2023-07001
7.1высокая

BDU:2023-07001 (CVE-2023-0361)

Уязвимость криптографической библиотеки транспортного уровня GnuTLS, связанная с различием времени ответа при обработке шифротекста RSA в сообщении ClientKeyExchange с корректным и некорректным добавочным заполнением PKCS#1, позволяющая нарушителю восстановить ключ для расшифровки сообщений
Опубликовано: 2023-10-22
Описание

Уязвимость криптографической библиотеки транспортного уровня GnuTLS связана с различием времени ответа при обработке шифротекста RSA в сообщении ClientKeyExchange с корректным и некорректным добавочным заполнением PKCS#1. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, восстановить ключ для расшифровки сообщений путём отправки большого количества специально сформированных сообщений

Затрагиваемое ПО и версии
Red Hat Enterprise Linux (6)Red Hat Enterprise Linux (7)Red Hat Enterprise Linux (8)Debian GNU/Linux (10)OnCommand Workflow AutomationSnapCenterOncommand InsightONTAP Select DeployDebian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Astra Linux Special Edition (1.7)Альт 8 СПActive IQ Unified Manager for Microsoft WindowsActive IQ Unified Manager for VMware vSphereFedora (36)Red Hat Enterprise Linux (9)Fedora (37)Red Hat Enterprise Linux (8.6 Extended Update Support)Red Hat Enterprise Linux (9.0 Extended Update Support)Fedora (38)NetApp Converged Systems Advisor AgentОСОН ОСнова Оnyx (до 2.8)GnuTLS (до 3.8.0)
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности бесконтрольной отправки запросов к уязвимому программному обеспечению;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:
Для GnuTLS:
https://gitlab.com/gnutls/gnutls/-/issues/1050

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-0361

Для Debian/GNU Linux:
https://lists.debian.org/debian-lts-announce/2023/02/msg00015.html
https://security-tracker.debian.org/tracker/CVE-2023-0361

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UFIA3X4IZ3CW7SRQ2UHNHNPMRIAWF2FI/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WS4KVDOG6QTALWHC2QE4Y7VPDRMLTRWQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Z634YBXAJ5VLDI62IOPBVP5K6YFHAWCY/

Для Альт 8 СП:
https://cve.basealt.ru/tag/cve-2023-0361.html

Для NetApp:
https://security.netapp.com/advisory/ntap-20230725-0005/
https://security.netapp.com/advisory/ntap-20230324-0005/

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения gnutls28 до версии 3.7.1-5+deb11u3

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux Special Edition 1.7:
обновить пакет gnutls28 до 3.6.7-4+deb10u10 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Оценка CVSS
Балл7.1 — высокая опасность
Источники и патчи
https://gitlab.com/gnutls/gnutls/-/issues/1050https://access.redhat.com/security/cve/CVE-2023-0361https://lists.debian.org/debian-lts-announce/2023/02/msg00015.htmlhttps://security-tracker.debian.org/tracker/CVE-2023-0361https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UFIA3X4IZ3CW7SRQ2UHNHNPMRIAWF2FI/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WS4KVDOG6QTALWHC2QE4Y7VPDRMLTRWQ/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Z634YBXAJ5VLDI62IOPBVP5K6YFHAWCY/https://cve.basealt.ru/tag/cve-2023-0361.html
Проверьте безопасность своего сайта и почты → Полная проверка домена